Personvernerklæring for WISEflow ved Universitetet i Innlandet
Denne personvernerklæringen gjelder bruken av WISEflow for digital eksamen og vurdering ved Universitetet i Innlandet. Hensikten er å gi deg som bruker informasjon av hvordan opplysninger om deg behandles i WISEflow.
Formålet med behandlingen av personopplysninger i WISEflow
Formålet med behandlingen av personopplysninger i WISEflow er å tilrettelegge for digital gjennomføring av eksamener, innleveringer og relaterte aktiviteter. Dette inkluderer praktisk tilrettelegging, administrasjon, sensur, tilbakemeldinger og begrunnelser, og eventuelt å tilrettelegge for ulike kontrollmekanismer for å avdekke eventuelle tilfeller av fusk eller plagiat.
Opplysninger viderebehandles kun på måter som er forenlige med disse formålene (eks. logging av brukeraktivitet av hensyn til integritet og sikkerhet rundt den opprinnelige behandlingen), eller eventuelt har egne gyldige behandlingsgrunnlag (eks. plagiatkontroll, lovkrav for arkivering, publisering av masteroppgaver eller eksport av karakterer til Felles Studentsystem).
Personopplysningene vi behandler
Opplysninger innhentes fra Felles studentsystem og Feide. I tillegg vil opplysninger kunne føres inn manuelt fra deg eller ansatte/sensorer som skal tilrettelegge for eller vurdere din eksamen. Opplysninger genereres også gjennom bruk av WISEflow og de ulike funksjonalitetene i tjenesten.
Følgende kategorier av personopplysninger behandles om deg i WISEflow:
- Ditt navn, og identitetsnummer, brukernavn og ulike IDer som brukes i WISEflow og på tvers av UH-sektoren. Disse gjør det mulig å identifisere deg der det er behov for dette, koble data fra ulike kilder og begrense bruken av direkte identifiserende opplysninger.
- Kontaktinformasjon som epostadresse og telefonnummer, som gjør det mulig å sende deg nødvendige varsel og informasjon.
- Opplysninger om dine studier eller ditt arbeid som gjør det mulig for oss å tildele deg riktige roller i WISEflow, gi deg tilgang til de riktige gruppene og gjøremålene, tilpasse tildelt tid under eksamen, vurdere besvarelser og eksamener, sette og formidle karakterer, håndtere din rett til å be om begrunnelser eller å klage, osv.
- Studentbesvarelser og opplysningene som ligger der. I noen tilfeller kan dette også inkludere bilde, video- eller lydfiler.
- Tekniske data som IP-adresser eller informasjonskapsler som bidrar til å sikre løsningens integritet og sikkerhet, og at alt fungerer slik det skal. Det benyttes kun informasjonskapsler som anses strengt nødvendige for at tjenesten fungerer slik den skal, jf. unntak fra krav om samtykke i ekomloven § 3-15.
- Logger over brukeraktivitet føres for å kunne undersøke feilmeldinger eller mistanke om misbruk av din konto og dine tilganger.
- Detaljert informasjon om prosesser og aktiviteter på studenters enheter vil behandles dersom Device Monitor benyttes for din eksamen. Dette gjøres for å kunne overvåke enheten under visse typer eksamen, der man ikke ønsker å bruke Lockdown Browser på grunn av de begrensningene det gir. Slik overvåking vil ikke foregå uten at du får mer informasjon om dette i den konkrete sammenhengen.
Hva gir oss rett til å behandle disse opplysningene om deg?
Det rettslige grunnlaget for at vi kan behandle personopplysninger om studenter er personvernforordningen artikkel 6, første ledd, bokstav e). Den gir oss anledning til å behandle nødvendige personopplysninger som et ledd i å utføre oppgaver i allmennhetens interesse eller utøvelsen av offentlig myndighet, dersom det også finnes et supplerende rettsgrunnlag for dette i norsk rett. Den supplerende hjemmelen er Universitets- og høgskoleloven § 2-8.
For behandlingen av personopplysninger om ansatte og eksterne sensorer vil det rettslige grunnlaget være personvernforordningen artikkel 6, første ledd, bokstav b), fordi behandlingen er nødvendig for å oppfylle en (arbeids-)avtale som den registrerte er part i.
Opplysninger som innhentes eller eksporteres ut av WISEflow for videre lagring eller behandling, vil i tillegg ha egne rettslige grunnlag. Eksempler på dette kan være arkivering, plagiatkontroll, dokumentasjon av beståtte emner/oppnådde karakterer.
Hvor lenge behandler vi opplysningene?
Opplysningene vil kun behandles i WISEflow så lenge det er behov for dem. Det betyr i praksis at vi behandler opplysninger om deg i WISEflow dersom du studerer ved institusjonen og i forbindelse med at du er meldt opp til vurdering i et emne, eller så lenge dine oppgaver/arbeidsforhold hos oss tilsier at du har en rolle i WISEflow.
Tidspunkt for sletting eller eksport av opplysninger fra WISEflow vil kunne variere, og vil i noen tilfeller måtte ta hensyn til behovet for logger, nødvendige sikkerhetskopier eller tilstrekkelig dokumentasjon til å kunne ivareta dine og våre rimelige interesser en periode bakover i tid, eksempelvis for å undersøke klagesaker.
Om automatiserte avgjørelser
Ved flervalgsprøver vil det kunne forekomme en form for automatisert behandling av opplysninger om deg, i form av at dine svar sammenlignes med en forhåndsdefinert fasit. Dette kan også ha innvirkning på din sensur. Normalt skal disse kontrolleres manuelt.
Vi gjør deg likevel oppmerksom på at du har rett til å kreve manuell overprøving av slike automatiserte behandlinger. Årsaker til å be om slik overprøving kan være:
• feil i selve prøven, for eksempel hvis feil svar er angitt som korrekt,
• det kan finnes flere riktige svar, men bare ett gir uttelling,
• det kan være svikt i den manuelle kontrollen som skal godkjenne resultatene.
Hvem har tilgang til opplysningene?
Selve WISEflow-løsningen er både rollebasert og tilgangsstyrt. Dette skal sikre at brukere kun får tilgang til de opplysningene som er relevante for dem, og at brukere kun gis anledning til å endre, fjerne eller tilføre opplysninger basert på sine forhåndsdefinerte roller. Administrativt personale ved institusjonen, sensorer, emneansvarlige og studenter får tilgang til opplysninger i tråd med det som er nødvendig for å utføre sine oppgaver.
Lisensadministratorer og adminstratorer har videre tilganger. All brukeraktivitet logges for å kunne kontrollere at disse tilgangene ikke er blitt misbrukt.
Databehandlere
UNIwise er et dansk selskap og leverandør av WISEflow-løsningen og lagrer/behandler alle opplysninger som er tilknyttet vår institusjon på egne, dedikerte områder.
Sikt – Kunnskapssektorens tjenesteleverandør er en statlig virksomhet som utvikler og tilbyr en rekke fellestjenester for kunnskapssektoren, deriblant integrasjoner som gjør det mulig å koble opplysninger fra ulike systemer i sektoren sammen med WISEflow.
Vi har inngått databehandleravtaler med UNIwise og Sikt som forplikter dem til å opprettholde et tilfredsstillende nivå av personopplysningssikkerhet og konfidensialitet.
UNIwise og Sikt benytter en rekke underleverandører. Når underleverandører får tilgang til opplysninger skal samme garantier som UNIwise og Sikt har forpliktet seg til, videreføres. Det iverksettes likevel også tiltak for å minimere omfanget av andre underleverandørers tilgang til personopplysninger, deriblant pseudonymisering.
WISEflow kjører på AWS-datasenter i EU/EØS-området. Opplysningene ligger kryptert og nøkkelhåndteringen er slik at AWS-personale ikke på noe tidspunkt vil ha tilgang til opplysningene i klartekst.
Overføring av personopplysninger ut av EU/EØS
Drift og lagring av alle opplysninger skjer i utgangspunktet innenfor EU/EØS.
Vi kan imidlertid ikke utelukke at underleverandører utenfor EU/EØS får tilgang til opplysninger som kan knyttes til enkeltbrukere. Dette gjelder eksempelvis leverandør for løsningen som brukes i flervalgsoppgaver, Learnosity, som har en avdeling med supportfunksjoner i Australia. Omfanget av personopplysninger vil være svært begrenset og ytterligere tiltak som pseudonymisering skal da hindre dette i å utgjøre en risiko for deg som registrert.
Slike overføringer skjer i tråd med overføringsreglene i GDPR, eksempelvis på grunnlag av EU-kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå i tredjeland eller etter at det inngås avtaler med standardiserte personvernbestemmelser for denne typen overføringer.
Bruk av WISEflow dersom du befinner deg utenfor EU/EØS.
Dersom du befinner deg utenfor EU/EØS kan vi ikke alltid garantere at trafikken til og fra WISEflow er like sikker som innad i EU/EØS-området.
For å verne om dine opplysninger og minimere risikoen for brudd på dine rettigheter og friheter, krever vi at du benytter deg av EduVPN / en VPN-tjeneste som terminerer i Norge/EU, som er tilkoblet mens du benytter institusjonens systemer, slik som WISEflow.
På denne måten skal innholdet i forespørslene være skjermet ytterligere.
Behandlingsansvarlig
Universitetet i Innlandet (INN) er hovedansvarlig for behandlingen av personopplysningene i Inspera.
Dersom du ønsker å benytte deg av dine rettigheter som er omtalt i punkt 9 ovenfor, kan du ta kontakt på saft@inn.no. Vi vil behandle din henvendelse uten ugrunnet opphold, og senest innen 30 dager.
Personvernombud
Universitetet i Innlandet har et personvernombud som skal ivareta personverninteressene til både studenter og ansatte ved Universitetet i Innlandet. Personvernombud for administrative behandlinger av personopplysninger ved Universitetet i Innlandet kan nås via e-post: personvern@inn.no
Dine rettigheter
Etter personvernforordningen har du rett til:
- Informasjon om og innsyn i behandlingen om deg
- Å få rettet eller slettet opplysninger om deg
- Å protestere eller kreve begrensning i omfanget av behandlingen
- Å få overprøvd automatiserte avgjørelser om deg
Unntak fra disse rettighetene kan gjelde, men vi har som behandlingsansvarlig institusjon plikt til å vurdere om rettighetene skal/kan innfris, og som hovedregel svare deg uten ugrunnet opphold, og senest innen en måned.
Personvernombudet vårt kan også bistå deg dersom du har spørsmål om dine rettigheter i forbindelse med vår håndtering av dine personopplysninger.
Klage til Datatilsynet
Du har også rett til å klage til Datatilsynet dersom du mener vi behandler dine personopplysninger i strid med regelverket. Hvordan du går frem for å gjøre dette, kan du lese mer om på Datatilsynets nettsider.